Les risques de sécurité accrus par la virtualisation

La virtualisation entraîne une augmentation des risques de sécurité informatique. C'est le magazine américain Network World qui tire la sonnette d'alarme en publiant une étude sur le sujet.

La raison du phénomène : une machine supportant plusieurs serveurs virtuels est mathématiquement plus vulnérable qu'un serveur physique doté d'une seule instance de système. Les directeurs des systèmes d'information (DSI) et les responsables sécurité informatique (RSSI) commencent à prendre conscience de cette difficulté.

Un tiers des répondants ne pensent pas que la virtualisation soit un facteur augmentant la vulnérabilité des systèmes. Les 30% restant reconnaissent le risque, mais estiment que les vendeurs de solutions virtuelles n'ont pas besoin d'intégrer de fonctions de sécurité à leurs produits... Une vision qui n'est pas partagée par les experts en sécurité qui estiment que la virtualisation doit faire l'objet de mesures de sécurité particulière, avec à la clé l'usage de dispositifs de filtrage de flux réseau.

Avec la multiplication des machines faisant tourner plusieurs OS et configurations systèmes, il est clair que les DSI et les RSSI n'ont plus droit à l'erreur en matière de sécurité informatique. Sur un serveur physique virtualisé, un problème sur l'un des moteurs d'émulation, dû à l'exploitation d'une faille par exemple, peut en effet entraîner des perturbations au sein des autres instances voire la mise hors service de l'ensemble de la machine - notamment si la mémoire est saturée.

Parmi les règles à suivre, il est recommandé de s'assurer de la mise à niveau permanente de ses machines virtuelles et des systèmes qu'elles supportent en matière de correctifs. Un lieu commun qu'il est toujours bon de rappeler. Comme tout autre application, l'environnement ainsi que l'historique de ses configurations doivent être pris en compte dans la base de gestion parc. Autre élément fondamental, la gestion des droits d'accès ne pourra pas faire défaut, avec idéalement une centralisation de celle-ci par le biais d'une plate-forme d'annuaire d'entreprise.

Dans certains cas, la mise en place de zone démilitarisée (ici virtuelle) est conseillée, en vue notamment de protéger une base de données dont la valeur est plus sensible que l'application "front office". Et pourquoi pas activer également dans certains cas des mécanismes de sauvegarde et de duplication de données sur des serveurs tiers (virtuels ou physiques).

Ainsi, on retrouvera dans le monde virtuel l'ensemble des processus de sécurité traditionnels... en fonction des besoins.